德國警方讀得到 WhatsApp、Signal 加密訊息——原來是用你沒想到的方法

• 加密本身沒有被破解，濫用的是「多裝置登入」這個正常功能。
• 對方需要的只有三種其中一種：你手機的幾十秒、一組被騙走的驗證碼，或一則被攔截的簡訊。
• 一旦登入成功，對方可以讀你之後收到的訊息、看已同步的舊對話與聯絡人，甚至用你的名義發訊息。
• 好消息是：這件事你看得見，也移除得掉。三分鐘就能檢查完一輪。

德國發生了什麼事？

2026 年 9 月，德國數位權利媒體 netzpolitik.org 公布了一份德國海關犯罪局的機密公文，揭露德國執法機關長期在使用一種叫「通訊軟體監控」的手段。這個手法從 2023 年底開始試辦，2025 年 8 月起正式成為常態工具。

更早之前的一個案例，比技術細節更值得記住。2020 年，一對夫婦被找去警局說明女兒的事——他們是證人，不是嫌疑人。警方說想看一下女兒傳給他們的訊息，他們自願把手機交了出去。警察在拿著手機的那段時間裡，同時偷偷替他們的帳號開通了 WhatsApp 網頁版，把帳號連到警方的電腦上。

手機還回去之後，警方可以繼續讀他們之後收到的訊息、看已經同步過去的對話、看他們的聯絡人清單，如果要的話也可以用他們的帳號發訊息。

這招到底怎麼運作？

如果把端對端加密想成一個保險箱，這個手法不是撬鎖，而是讓對方多配一把你自己的鑰匙。

你每天在用的通訊軟體，幾乎都提供「在電腦上也能用」的功能：WhatsApp 網頁版、Telegram 網頁版、Signal 桌面版、LINE 電腦版。這些功能本來是給你自己方便的。它們的運作方式是在你的帳號上「多掛一個裝置」，之後訊息會同時送到那個裝置上——而且是已經解密好的內容。

所以攻擊者不需要對付加密。他只需要讓自己的電腦，也登入你的帳號。

對方需要拿到什麼？就跟登入帳號一樣

要新增一個裝置，系統會要求你在原本的帳號上確認一次。這道確認就是整件事的關卡，而德國的文件顯示，繞過它有三種方法。

一、拿到你的手機。只要能解鎖你的手機幾十秒，就能用它掃描電腦螢幕上的 QR code，完成連結。上面那對夫婦就是這樣。

二、騙你把驗證碼唸出來或轉傳。有些軟體是把確認碼送到 App 裡面。德國的聯邦憲法保護局與資安主管機關今年初就公開警告過，有攻擊者專門針對 Signal 用戶做這種釣魚，誘騙使用者交出連結裝置所需的資訊。

三、攔截簡訊。如果確認碼是用簡訊寄的，傳統的電信監聽就收得到。德國聯邦刑事警察局曾用這個方法取得數十個 Telegram 帳號的存取權。

常見誤區：「我用 Signal，所以我很安全。」
換軟體解決不了這個問題。這三條路沒有任何一條需要破解加密，也不需要知道你的密碼。事實上，德國資安主管機關針對 Signal 的警告提到，攻擊者用這種方式劫持帳號後，還能額外取得最近 45 天的訊息內容，並以受害者的名義發送訊息。不同軟體同步過去的歷史訊息範圍不一樣，但「不只有未來的訊息」這件事是共通的。

在台灣，威脅通常不是警察

讀到這裡，你可能會想：這是德國的事，而且我又沒犯法。

但請注意那對夫婦的身分——他們是證人，是來協助調查的人。這個手法真正的問題不在於誰在用，而在於它門檻極低。低到不需要厲害的技術手段。

在台灣，最可能對你做這件事的人，通常離你很近：伴侶、前任、家人、室友、雇主。而那句啟動一切的話，你大概聽過：

「手機借我看一下。」
「你沒什麼好不能給我看的吧？」

你可能真的沒什麼好隱瞞的，所以你給了。手機三十秒後回到你手上，你以為事情結束了。但如果對方在那三十秒裡開了電腦版，只要不登出——你之後跟每一個人的對話，也會被對方看到。

這裡要說清楚一件事：你當初同意讓他看一則訊息，不等於你同意讓他看往後的每一則。這不是你太大意，是對方越界。

如果你懷疑正在被伴侶或家人監控，先別急著移除裝置。
移除連結是對方看得見的動作——他會立刻失去存取權，也會立刻知道你發現了。在某些關係裡，這可能觸發危險的反應。建議先評估自身處境，必要時找專業協助一起討論時機與順序，再動手。

撥打 113 保護專線（24 小時、免費，可諮詢家暴、性侵害、性騷擾與跟蹤騷擾相關問題）；若當下人身安全有立即危險，請直接撥 110。跟蹤騷擾的個案諮詢，也可以找現代婦女基金會的性騷擾及跟蹤騷擾個案服務。

三分鐘自我檢查

現在拿起手機，把你在用的通訊軟體逐一看過一次。要找的是同一個東西：這個帳號目前連著哪些裝置。

1. LINE：主頁右上角齒輪「設定」→「我的帳號」→「登入中的裝置」。看到不認得的裝置就登出，並接著把密碼改掉。如果你平常不用電腦版或平板版，建議把同一頁的「允許自其他裝置登入」關閉，要用的時候再打開。
2. WhatsApp：「設定」→「連結裝置」。列表會顯示每個裝置最後使用的時間，不認得的直接登出。
3. Telegram：「設定」→「裝置」。可以逐一終止工作階段，也可以一次結束其他所有工作階段。
4. Signal：「設定」→「已連結的裝置」。Signal 的連結裝置只能是電腦或平板，如果你從來沒裝過桌面版，這份清單就應該是空的——出現任何東西都要移除。
5. 移除之後，順手改密碼、並確認註冊用的手機號碼與電子信箱沒有被改過。對方失去了這條連線，可能會試別的路。

設定位置可能因為 App 改版而有所不同，官方說明可參考：LINE、WhatsApp、Telegram、Signal。

看到不認得的裝置，不一定就是被監控。可能是你自己很久以前登入過、後來忘了的舊筆電或舊平板。但既然你不記得它了，登出它對你也沒有任何損失。看不懂就登出，這是安全的預設值。

把門鎖上：四個一次性設定

需要定期去檢查使用的通訊軟體是否有他人使用其他裝置登入，可以透過下列方法去檢查，只要不認識的裝置，就先移除：

• Telegram 開啟兩步驟驗證（設定 →「隱私與安全性」→「兩步驟驗證」），設一組只有你知道的密碼。之後光靠攔截簡訊，登不進你的帳號。
• Signal 設定 PIN 並開啟「註冊鎖」（設定 →「帳號」），別人拿到你的門號也無法把帳號搬走。
• 手機設定螢幕鎖，而且不把已解鎖的手機交到別人手上。要給對方看某則訊息，就自己拿著手機給他看。這一條看起來最簡單，但擋掉的正是三條路裡最常用的那一條。
• 不掃來路不明的 QR code。任何人——包括自稱客服、自稱警察的人——要你唸出驗證碼、轉傳驗證碼、或掃描一個他給你的 QR code，都請當成警訊，先掛掉電話再自行確認。

就算只做一件事：今天打開你最常用的那個通訊軟體，看一次「已連結的裝置」清單。不用改任何設定、不用裝任何東西，三十秒。這一件事的投報率，比這篇文章裡其他所有建議都高。

那在法律上不會有問題嗎？

這件事在德國引起爭議，不是因為技術，而是因為沒有任何國會或立法者為這種監控方式訂過法。偵查機關一直是拿其他法條來解釋自己的做法。德國聯邦最高法院直到 2026 年 1 月才首度裁定，偷偷連上別人的 Telegram 帳號屬於一種通訊監察；而研究 IT 刑法的拜羅伊特大學教授 Christian Rückert 則主張，這其實構成比通訊監察更嚴重的「線上搜索」，因為業者提供的工具在技術上根本無法保證只取得法律允許的範圍——它會把舊訊息一起同步過去，也讓警方具備用該帳號發訊息的能力。他的評價是「極為有問題」。

德國政府則拒絕告訴國會他們用了幾次，理由是這類資訊「特別需要保密，高度涉及國家利益」。提出質詢的綠黨議員回應，介入基本權如此之深的措施，應該讓外界知道它被怎麼使用、使用到什麼程度。

這一段離台灣讀者比較遠，但它說明了一件近的事：當一個手法這麼容易、又這麼難被察覺的時候，制度往往是最後才跟上的那個。在那之前，我們能掌握的就是自己這一端——而剛好，這一端要做的事並不難。

加密幫你擋住了路上的所有人，但擋不住一個被你自己開過門的裝置。定期看一眼那份清單，是少數不花錢、不需要技術、效果又立刻生效的事。

如果你看完清單心裡有疑慮，或正在處理跟蹤騷擾、親密關係監控之類的狀況，ET Home 提供個人一對一的資安諮詢，不只服務組織。你可以自己一個人來，也不需要先把事情整理好再開口。

參考文章

Andre Meister,〈Messenger-Überwachung: Immer mehr Polizei überwacht Messenger wie WhatsApp〉, netzpolitik.org, 2026-09-02

Ann-Marie Corvin,〈German police read Signal, Telegram, WhatsApp messages without breaking encryption〉, Cybernews, 2026-09-11